Domain Name System तेज़ होने के लिए बना था। सुरक्षित होने के लिए नहीं। 1980 के दशक में जब DNS डिज़ाइन हुआ, तब किसी ने ऐसी दुनिया की योजना नहीं बनाई थी जहां हमलावर आपके विज़िटर को नकली वेबसाइट पर भेजने के लिए DNS जवाब जाली बनाने की कोशिश करेंगे। DNSSEC, यानी DNS Security Extensions, उसी कमी को भरने के लिए बनाया गया। यह DNS रिकॉर्ड में डिजिटल सिग्नेचर जोड़ता है, ताकि DNS सर्वर का दिया हर जवाब ब्राउज़र के भरोसा करने से पहले असली साबित किया जा सके।
DNSSEC क्या है?
DNSSEC, DNS प्रोटोकॉल में जोड़े गए सिक्योरिटी एक्सटेंशन का एक सेट है। यह आपके डोमेन के हर DNS रिकॉर्ड के साथ एक क्रिप्टोग्राफ़िक सिग्नेचर जोड़कर काम करता है। जब कोई रिज़ॉल्वर आपका डोमेन खोजता है, तो जवाब मानने से पहले वह जांचता है कि सिग्नेचर मेल खाता है या नहीं। अगर सिग्नेचर गायब है या मेल नहीं खाता, तो जवाब रिजेक्ट कर दिया जाता है। इससे हमलावर सिस्टम में नकली DNS जवाब घुसा नहीं पाते।
DNSSEC यह नहीं बदलता कि DNS कैसे काम करता है। खोजने की प्रक्रिया वही रहती है। आपका डोमेन अब भी DNS सर्वरों की एक कड़ी से होकर IP एड्रेस तक पहुंचता है। फ़र्क यह है कि उस कड़ी का हर कदम अब वेरिफ़ाई किया जा सकता है। रिज़ॉल्वर सिर्फ़ जवाब पर भरोसा नहीं करता। वह क्रिप्टोग्राफ़िक सिग्नेचर जांचकर पक्का करता है कि जवाब किसी अधिकृत स्रोत से आया और रास्ते में बदला नहीं गया।
DNSSEC किस समस्या को हल करता है?
DNSSEC के बिना DNS जवाबों को जस का तस मान लिया जाता है। यह जांचने का कोई बना-बनाया तरीक़ा नहीं है कि जवाब सही सर्वर से आया या रास्ते में बदल दिया गया। इससे एक खास तरह के हमले का रास्ता खुलता है, जिसे DNS कैश पॉइज़निंग या DNS स्पूफ़िंग कहते हैं।
कैश पॉइज़निंग हमले में हमलावर असली जवाब आने से पहले रिज़ॉल्वर को जाली DNS जवाब भेज देता है। रिज़ॉल्वर नकली जवाब को अपने कैश में रख लेता है और उस डोमेन को खोजने वाले हर किसी को वही देता है। जो भी विज़िटर अपने ब्राउज़र में आपका डोमेन टाइप करता है, वह आपकी असली वेबसाइट की जगह हमलावर के कंट्रोल वाले सर्वर पर पहुंच जाता है।
नकली साइट बिल्कुल आपकी साइट जैसी दिख सकती है। विज़िटर लॉगिन, पेमेंट ब्योरा या निजी जानकारी डाल सकते हैं, बिना जाने कि वे पूरी तरह किसी दूसरे सर्वर पर हैं। यह हमला विज़िटर को दिखता नहीं, क्योंकि उनके ब्राउज़र में URL अब भी आपका डोमेन नाम दिखाता है।
DNSSEC जाली जवाबों को पकड़ने लायक बनाकर इसे रोकता है। अगर सिग्नेचर मेल न खाए, तो रिज़ॉल्वर जवाब रिजेक्ट कर देता है और विज़िटर नकली ठिकाने पर नहीं भेजा जाता।
DNSSEC कैसे काम करता है?
DNSSEC, DNS रिकॉर्ड पर सिग्नेचर करने के लिए पब्लिक और प्राइवेट कीज़ की व्यवस्था इस्तेमाल करता है। यह प्रक्रिया मोटे तौर पर ऐसे चलती है।
जब आप DNSSEC चालू करते हैं, तो आपका DNS प्रोवाइडर आपके डोमेन के लिए क्रिप्टोग्राफ़िक कीज़ की एक जोड़ी बनाता है। प्राइवेट की से हर DNS रिकॉर्ड का डिजिटल सिग्नेचर बनाया जाता है। पब्लिक की खुद एक DNS रिकॉर्ड के रूप में प्रकाशित की जाती है, ताकि रिज़ॉल्वर उस तक पहुंच सकें।
जब कोई रिज़ॉल्वर आपके डोमेन को क्वेरी करता है, तो उसे DNS जवाब के साथ सिग्नेचर भी मिलता है। फिर रिज़ॉल्वर पब्लिक की से जांचता है कि सिग्नेचर जवाब के डेटा से मेल खाता है या नहीं। सब सही निकले तो जवाब पर भरोसा किया जाता है। अगर सिग्नेचर गलत है या गायब है, तो रिज़ॉल्वर जवाब को अविश्वसनीय मानता है और उसे ब्राउज़र तक नहीं पहुंचाता।
यह वेरिफ़िकेशन भरोसे की एक कड़ी से चलता है। आपके डोमेन की पब्लिक की का हवाला पेरेंट ज़ोन के DS (Delegation Signer) रिकॉर्ड में होता है। मिसाल के लिए, अगर आपका डोमेन yourbrand.com है, तो .com ज़ोन में एक DS रिकॉर्ड होता है जो आपके डोमेन की पब्लिक की की ओर इशारा करता है। .com ज़ोन खुद साइन होता है और रूट ज़ोन से वेरिफ़ाई होता है। कड़ी का हर स्तर अपने नीचे वाले स्तर को वैलिडेट करता है, रूट से लेकर आपके खास डोमेन तक।
DNSSEC के बिना क्या होता है?
DNSSEC के बिना आपके डोमेन का हर DNS जवाब बिना साइन किया होता है। रिज़ॉल्वर जो भी जवाब पहले आए उसे मान लेते हैं, यह पक्का करने का कोई तरीक़ा नहीं कि वह किसी जायज़ स्रोत से आया। इसका मतलब है कि अच्छी जगह पर बैठा हमलावर सिस्टम में जाली जवाब घुसाकर, बिना कोई अलार्म बजाए, आपके विज़िटर को कहीं और भेज सकता है।
ज़्यादातर छोटी वेबसाइटों के लिए निशाना बनाकर किए गए DNS पॉइज़निंग हमले का जोखिम कम है। हमलावर आमतौर पर बैंक, ईमेल प्रोवाइडर और बड़े ऑनलाइन स्टोर प्लेटफ़ॉर्म जैसे ऊंची कीमत वाले निशानों के पीछे जाते हैं। पर जोखिम शून्य नहीं है। पब्लिक Wi-Fi नेटवर्क, हैक हुए राउटर और कुछ रिज़ॉल्वर सॉफ़्टवेयर की कमज़ोरियां, ये सब छोटे पैमाने पर DNS स्पूफ़िंग के मौके बना सकती हैं।
DNSSEC न होने का व्यावहारिक असर आपकी स्थिति पर निर्भर करता है। अगर आप संवेदनशील डेटा संभालते हैं, पेमेंट लेते हैं या अपनी वेबसाइट को ग्राहकों से पहले संपर्क के मुख्य ज़रिए के रूप में इस्तेमाल करते हैं, तो अतिरिक्त वेरिफ़िकेशन रखने लायक है।
क्या आपके डोमेन को DNSSEC चाहिए?
सच्चा जवाब है कि यह स्थिति पर निर्भर करता है। DNSSEC असली सुरक्षा देता है, पर यह हर डोमेन के लिए ज़रूरी नहीं है।
अगर आपकी साइट पेमेंट संभालती है, संवेदनशील जानकारी इकट्ठा करती है या ज़्यादा दिखने वाले डोमेन पर चलती है, तो आपको DNSSEC चालू करना चाहिए। सरकारी वेबसाइट, वित्तीय सेवाएं और हेल्थकेयर ब्रांड, सभी को DNSSEC चालू रखने से फ़ायदा होता है। अगर आपके ब्रांड के लिए डोमेन सिक्योरिटी प्राथमिकता है, तो DNSSEC जोड़ने लायक एक और परत है।
अगर आप लॉगिन सुविधा के बिना कोई छोटी जानकारी वाली साइट चलाते हैं और आपका रजिस्ट्रार अभी DNSSEC सपोर्ट नहीं करता या उसके लिए अलग पैसे लेता है, तो शायद आपको इसकी तुरंत ज़रूरत न हो। कई वेबसाइट इसके बिना चलती हैं और ठीक काम करती हैं। SSL पहले से विज़िटर और आपके सर्वर के बीच कनेक्शन एन्क्रिप्ट करता है, जो रास्ते में डेटा की रक्षा करता है। DNSSEC एक अलग समस्या हल करता है, खास तौर पर DNS लुकअप की ईमानदारी की।
अगर आपका रजिस्ट्रार इसे सपोर्ट करता है और सेटअप सीधा है, तो इसे चालू करने में नुकसान बहुत कम है। इससे मिलने वाली सुरक्षा असली है, भले ही जिस जोखिम को यह संभालता है वह हर डोमेन पर बराबर लागू न हो।
DNSSEC कैसे चालू करें?
DNSSEC चालू करने के लिए दो जगह कदम उठाने होते हैं। पहली, आपका DNS प्रोवाइडर, जहां आपके डोमेन के DNS रिकॉर्ड होस्ट होते हैं। दूसरी, आपका डोमेन रजिस्ट्रार, जहां आपका डोमेन रजिस्टर है।
सामान्य कदम ऐसे होते हैं।
- अपने DNS प्रोवाइडर में लॉग इन करें और अपने डोमेन के लिए DNSSEC चालू करें। इससे क्रिप्टोग्राफ़िक कीज़ बनती हैं और आपके DNS रिकॉर्ड पर सिग्नेचर शुरू हो जाते हैं।
- वह DS रिकॉर्ड कॉपी करें जो आपका DNS प्रोवाइडर देता है। इस रिकॉर्ड में आपके डोमेन की पब्लिक की का हवाला होता है।
- अपने डोमेन रजिस्ट्रार में लॉग इन करें और DS रिकॉर्ड अपने डोमेन की सेटिंग में जोड़ें। इससे आपके डोमेन की DNSSEC कीज़ पेरेंट ज़ोन से जुड़ जाती हैं।
- प्रोपेगेशन का इंतज़ार करें। किसी भी DNS रिकॉर्ड बदलाव की तरह, नए DS रिकॉर्ड को इंटरनेट पर फैलने में कुछ घंटे लग सकते हैं।
- ऑनलाइन DNSSEC वैलिडेशन टूल से अपना सेटअप टेस्ट करें, ताकि पक्का हो कि सब ठीक चल रहा है।
अगर आपका रजिस्ट्रार और DNS प्रोवाइडर एक ही कंपनी हैं, तो प्रक्रिया आसान होती है। कुछ प्रोवाइडर दोनों कदम एक ही डैशबोर्ड से संभालते हैं। बाकी में आपको दो अलग अकाउंट के बीच रिकॉर्ड कॉपी करने पड़ते हैं।
सेटअप के दौरान सबसे आम गलती DS रिकॉर्ड गलत डालना है। सेव करने से पहले key tag, algorithm number, digest type और digest value दोबारा जांचें। इनमें से किसी भी फ़ील्ड में एक गलत अंक भरोसे की कड़ी तोड़ देगा और गलती सुधरने तक आपका डोमेन पहुंच से बाहर हो सकता है।
DNSSEC क्या नहीं करता?
DNSSEC एक खास समस्या हल करता है: यह वेरिफ़ाई करना कि DNS जवाब असली हैं। यह समझना ज़रूरी है कि क्या इसके दायरे से बाहर है।
DNSSEC आपकी DNS क्वेरी को एन्क्रिप्ट नहीं करता। हर DNS लुकअप की सामग्री नेटवर्क पर नज़र रखने वाले किसी को भी अब भी दिखती है। अगर DNS क्वेरी की प्राइवेसी आपके लिए मायने रखती है, तो वह अलग समस्या है, जिसे DNS over HTTPS (DoH) या DNS over TLS (DoT) हल करते हैं, DNSSEC नहीं।
DNSSEC विज़िटर और आपकी वेबसाइट के बीच ट्रैफ़िक को एन्क्रिप्ट नहीं करता। यह SSL सर्टिफ़िकेट का काम है, जो HTTPS पर एन्क्रिप्टेड कनेक्शन बनाता है। DNSSEC और SSL कनेक्शन के अलग-अलग चरणों पर अलग-अलग चीज़ों की रक्षा करते हैं।
DNSSEC आपके डोमेन पर होने वाले सभी तरह के हमलों को नहीं रोकता। यह किसी को आपके रजिस्ट्रार के लॉगिन चुराकर आपका डोमेन ट्रांसफ़र करने से नहीं रोकता। यह आपके ब्रांड की नकल करने वाले फ़िशिंग ईमेल से नहीं बचाता। और यह आपके DNS सर्वरों पर किए गए DDoS हमलों को नहीं रोकता। उन खतरों के लिए आपको टू-फ़ैक्टर ऑथेंटिकेशन, डोमेन लॉकिंग और DDoS मिटिगेशन जैसी अलग सुरक्षाएं चाहिए।
DNSSEC और SSL में क्या फ़र्क है?
DNSSEC और SSL दोनों सिक्योरिटी की परतें हैं, पर वे विज़िटर और आपकी वेबसाइट के बीच कनेक्शन के अलग हिस्सों की रक्षा करती हैं।
SSL (और उसका उत्तराधिकारी TLS) विज़िटर के ब्राउज़र और आपके वेब सर्वर के बीच बहने वाले डेटा को एन्क्रिप्ट करता है। कनेक्शन बनने के बाद विज़िटर जो भी भेजता और पाता है, वह चोरी-छिपे सुने जाने से सुरक्षित रहता है। SSL यह भी वेरिफ़ाई करता है कि विज़िटर जिस सर्वर से बात कर रहा है, उसके पास आपके डोमेन का वैध सर्टिफ़िकेट है।
DNSSEC उस कदम की रक्षा करता है जो SSL के शुरू होने से पहले होता है। जब विज़िटर आपका डोमेन टाइप करता है, तो ब्राउज़र पहले DNS से IP एड्रेस खोजता है। DNSSEC पक्का करता है कि वह लुकअप सही IP एड्रेस लौटाए। इसके बिना हमलावर विज़िटर को पूरी तरह किसी दूसरे सर्वर पर भेज सकता है, जिसके पास किसी मिलते-जुलते डोमेन का अपना SSL सर्टिफ़िकेट भी हो सकता है।
दोनों परतों का अपना काम है। SSL बातचीत की रक्षा करता है। DNSSEC उस दिशा की रक्षा करता है जिसमें विज़िटर वह बातचीत शुरू करने के लिए जाता है। दोनों का इस्तेमाल आपके विज़िटर को सबसे मज़बूत भरोसा देता है कि वे आपकी असली साइट पर हैं और उनका डेटा सुरक्षित है।
WEMASY में DNSSEC कैसे संभालें
अगर आप अपना डोमेन अपनी WEMASY साइट से जोड़ते हैं, तो DNSSEC चालू हो सकता है या नहीं, यह आपके रजिस्ट्रार और DNS प्रोवाइडर पर निर्भर करता है, और उसका DS रिकॉर्ड आप अपने रजिस्ट्रार पर जोड़ते हैं। हर प्लान में क्या शामिल है, यह जानने के लिए प्राइसिंग देखें।
मॉड्यूल 6 का समापन
यह चैप्टर डोमेन सिक्योरिटी मॉड्यूल को पूरा करता है। पिछले चैप्टरों में आपने पूरी तस्वीर देखी। आपने जाना कि डोमेन सिक्योरिटी का मतलब क्या है, डोमेन लॉकिंग, प्राइवेसी प्रोटेक्शन और रिन्यूअल की जागरूकता आपके डोमेन को आपके कंट्रोल में कैसे रखती हैं, और हाइजैकिंग, स्क्वाटिंग और रिन्यूअल स्कैम जैसे वे खास खतरे कौन से हैं जो डोमेन मालिकों को निशाना बनाते हैं। DNSSEC आखिरी परत जोड़ता है, DNS लुकअप की रक्षा करके, यानी उस एक कदम की जो आपके डोमेन नाम को आपकी असली वेबसाइट से जोड़ता है। इन सभी सुरक्षाओं के साथ आपका डोमेन रजिस्ट्रेशन से लेकर रिज़ॉल्यूशन तक सुरक्षित है।
DNSSEC के बारे में अक्सर पूछे जाने वाले सवाल
अगर DNSSEC गलत सेट हो जाए तो क्या मेरी वेबसाइट टूट सकती है?
हां। अगर आपके रजिस्ट्रार का DS रिकॉर्ड आपके DNS प्रोवाइडर की कीज़ से मेल नहीं खाता, तो DNSSEC वैलिडेट करने वाले रिज़ॉल्वर आपके डोमेन के DNS जवाब पूरी तरह रिजेक्ट कर देंगे। इससे उन विज़िटर के लिए आपकी वेबसाइट पहुंच से बाहर हो सकती है जिनके रिज़ॉल्वर DNSSEC वैलिडेशन लागू करते हैं। चालू करने के बाद अपना सेटअप हमेशा DNSSEC वैलिडेशन टूल से टेस्ट करें, और अगर आप कभी DNS प्रोवाइडर बदलें तो अपनी कीज़ सिंक में रखें। WEMASY के वेबसाइट बिल्डर में आप अपनी साइट के लिए अपना डोमेन जोड़ सकते हैं।
क्या DNSSEC मेरी वेबसाइट को धीमा करता है?
स्पीड पर असर बहुत कम है। सिग्नेचर की वजह से DNSSEC DNS जवाबों में थोड़ा अतिरिक्त डेटा जोड़ता है, और रिज़ॉल्वर एक अतिरिक्त वेरिफ़िकेशन कदम करते हैं। व्यवहार में इससे DNS लुकअप में सिर्फ़ कुछ मिलीसेकंड जुड़ते हैं। विज़िटर को पेज लोड होने के समय में कोई फ़र्क महसूस नहीं होगा।
क्या सभी रजिस्ट्रार DNSSEC सपोर्ट करते हैं?
सभी नहीं। ज़्यादातर बड़े रजिस्ट्रार DNSSEC सपोर्ट करते हैं, पर कुछ छोटे या सस्ते रजिस्ट्रार अभी इसे नहीं देते। DNSSEC चालू करने की कोशिश से पहले अपने रजिस्ट्रार के डॉक्यूमेंटेशन या सपोर्ट पेज में जांच लें कि वे आपको DS रिकॉर्ड जोड़ने देते हैं या नहीं। अगर नहीं देते, तो आपको अपना डोमेन ऐसे रजिस्ट्रार पर ट्रांसफ़र करना पड़ सकता है जो देता हो।
अगर मैं DNS प्रोवाइडर बदलूं तो DNSSEC का क्या होता है?
अगर आप DNS प्रोवाइडर बदलते हैं, तो आपको अपना DNSSEC कॉन्फ़िगरेशन अपडेट करना होगा। नया प्रोवाइडर नई कीज़ बनाएगा, और आपको अपने रजिस्ट्रार का DS रिकॉर्ड नए रिकॉर्ड से बदलना होगा। बदलाव के दौरान एक ऐसा दौर आता है जब पुराना DS रिकॉर्ड नई कीज़ से मेल नहीं खाता। बदलाव की योजना ध्यान से बनाएं। पहले पुराना DS रिकॉर्ड हटाएं, प्रोपेगेशन का इंतज़ार करें, अपना DNS माइग्रेट करें, नए प्रोवाइडर पर DNSSEC चालू करें, और फिर नया DS रिकॉर्ड जोड़ें।
क्या DNSSEC और DNS over HTTPS एक ही चीज़ हैं?
नहीं। वे अलग समस्याएं हल करते हैं। DNSSEC वेरिफ़ाई करता है कि DNS जवाब असली है और उसमें छेड़छाड़ नहीं हुई। DNS over HTTPS (DoH) खुद DNS क्वेरी को एन्क्रिप्ट करता है, ताकि आपके नेटवर्क पर नज़र रखने वाला कोई न देख सके कि आप कौन से डोमेन खोज रहे हैं। DNSSEC ईमानदारी की रक्षा करता है। DoH प्राइवेसी की। इन्हें साथ इस्तेमाल किया जा सकता है, पर एक दूसरे की जगह नहीं लेता।